Configure os Sentinel Probes

Leve a visão de rede ao Infrastructure Defense. Um Sentinel Probe é um appliance virtual de scanner que descobre cada dispositivo nas redes que você autoriza e verifica a exposição de cada um, sem agente no alvo. Este guia explica o que ele é, por que atende aos scans internos do PCI DSS e como instalar, definir o escopo e ler os resultados.

O agente Sentinel Host dá a você uma visão profunda e autenticada de dentro de cada servidor em que você consegue instalá-lo. Muita coisa na sua rede nunca vai rodar um agente: um switch gerenciado, uma impressora, uma câmera IP, um appliance de banco de dados, um terminal de pagamento, o notebook de um prestador de serviço. O Sentinel Probe é como você enxerga esses dispositivos e como você produz o scan interno de vulnerabilidades que um auditor pede. Ele é o lado de rede do WASViking^® Infrastructure Defense e trabalha ao lado do agente, em vez de substituí-lo.

Um probe em um segmento, descobrindo tudo o que há nele e reportando para fora por TLS mútuo. Nada é instalado nos dispositivos que ele analisa.

O que é um Sentinel Probe

Um Sentinel Probe é um appliance virtual de scanner. Você instala um programa leve em uma única máquina dentro de um segmento de rede e, a partir dali, ele descobre cada dispositivo alcançável nas redes que você autorizou, identifica os serviços e as versões que eles expõem e reporta o que encontra à nuvem da WASViking para correlação e pontuação. Nada é instalado nos dispositivos que ele analisa. Um probe cobre um segmento inteiro.

Ele nunca abre uma porta de entrada. Assim como o agente Host, o probe se conecta para fora por TLS mútuo, de modo que colocar um deles dentro de uma rede sensível não amplia a sua superfície de ataque.

O agente e o probe respondem a perguntas diferentes. O agente é a visão de dentro de uma máquina, completa até o pacote instalado. O probe é a visão do segmento, incluindo tudo o que o agente nunca consegue alcançar. Um dispositivo que o probe encontra e que não tem agente aparece no seu inventário como não gerenciado (unmanaged), de modo que você sempre sabe a diferença entre o que você gerencia e o que apenas existe na rede.

Por que isso importa para o PCI DSS

O PCI DSS pede que você execute scans internos de vulnerabilidades nos sistemas em escopo, pelo menos uma vez a cada três meses e novamente após qualquer mudança significativa, e que guarde os resultados datados como evidência. Quando um sistema aceita credenciais, o padrão espera um scan autenticado, que olhe além da superfície de rede. O Sentinel Probe foi construído para produzir exatamente essa evidência.

• Ele analisa as redes internas que você declara, na cadência que você define, e registra uma execução datada para cada scan (requisito 11.3.1).
• Ele oferece scans autenticados por SSH no Linux e WinRM no Windows, de modo que uma verificação com credenciais encontra o que uma verificação sem autenticação não encontra (requisito 11.3.1.2).
• Um Scan now (analisar agora) com um clique executa um scan fora do ciclo após uma mudança e registra a execução como on demand (sob demanda), com quem a solicitou e por quê (requisito 11.3.1.3).
• Cada achado se fecha sozinho quando um scan posterior deixa de vê-lo, o que é o rescan que confirma uma correção.

O que você obtém é um programa de scans internos que um avaliador consegue de fato ler: a cadência atual, o histórico retido e uma exportação que ele pode levar consigo, sem planilha para manter em paralelo.

Antes de começar

O Infrastructure Defense é ativado por organização pelo seu contato na WASViking ou pelo seu parceiro. Com o módulo ligado, abra Infrastructure Defense → Sentinel Probes na barra lateral do portal. Configurar um probe exige a permissão Manage no módulo.

Uma regra molda todo o resto: um probe enxerga uma rede na profundidade do lugar onde ele está. No próprio segmento, ele lê o quadro completo da camada 2, incluindo um host que não responde a nenhum outro tráfego. Uma rede que ele alcança apenas por meio de um roteador é vista na camada 3, onde um host atrás de firewall pode continuar oculto. Para a cobertura completa de cada sistema em escopo, coloque um probe dentro de cada segmento que você precisa certificar. A tela do probe informa, por rede, se ele está no segmento local ou se a alcança por roteamento, de modo que você sempre sabe onde pode haver um ponto cego.

As duas abas: Probes e Activation keys

A tela Sentinel Probes tem duas abas, e elas respondem a duas perguntas diferentes.

Activation keys (chaves de ativação) é onde fica o onboarding. Uma chave de ativação é uma credencial reutilizável que permite a um probe se registrar sozinho: você cria uma chave, e o comando de instalação a carrega. É a mesma ideia das chaves de ativação de host, e uma chave pode colocar mais de um probe no ar. É aqui que você cria, limita, expira e desativa chaves.

Probes é onde ficam os appliances em execução. Todo probe que se registrou aparece aqui com o seu estado de saúde e a sua versão, e abrir um deles mostra o detalhe: as redes que ele está autorizado a analisar, as configurações de scan, as credenciais para scans autenticados, se houver, e o histórico de scans com o indicador de cadência de 90 dias. Em resumo, você usa Activation keys para colocar um probe online e Probes para operá-lo dali em diante.

Passo 1: crie uma chave de ativação

Abra a aba Activation keys e crie uma chave. Dê a ela um título que a sua equipe reconheça e, opcionalmente, limite quantos probes ela pode registrar e quando ela expira. Gere a chave e mantenha o valor à mão para o comando de instalação do próximo passo.

Passo 2: instale o probe

Escolha uma máquina Linux dentro do segmento que você quer analisar. Uma máquina virtual pequena basta, porque o probe é leve. Ele roda em Linux e analisa igualmente Windows, Linux e dispositivos de rede, de modo que um appliance Linux cobre um segmento misto. Na página Install da chave, copie o comando único:

sudo wasviking-sentinel-probe install --activation-key <your-activation-key>

Essa única linha copia o programa para o lugar certo, registra o probe com a sua própria identidade de certificado e o inicia como um serviço. Em instantes o probe aparece como Online na aba Probes. Não há nada a agendar para upgrades: o probe se atualiza sozinho quando uma nova versão é publicada.

Passo 3: autorize as redes que ele pode analisar

Um probe não analisa nada até você dizer no que ele pode tocar. Abra o probe na aba Probes e, em Authorized networks (redes autorizadas), adicione cada rede em formato CIDR (por exemplo, 10.20.0.0/24), com um rótulo e a sua declaração de que você está autorizado a analisá-la. Somente redes que estão ao mesmo tempo ativadas e autorizadas são contatadas, faixas públicas são recusadas por padrão e você pode excluir endereços individuais dentro de uma faixa. O probe lê o seu escopo do portal, de modo que ele nunca consegue ampliar o próprio alcance.

A coluna Segment ao lado de cada rede informa se o probe está naquele segmento ou se a alcança por roteamento, o que indica onde um segundo probe fecharia uma lacuna.

Passo 4: ajuste o scan

Em Scan settings (configurações de scan) você escolhe como o probe trabalha: a intensidade, o perfil de portas (um conjunto comum, um conjunto relevante para PCI ou todas as portas) e com que frequência ele analisa. Duas opções vêm desativadas por padrão e é seguro deixá-las assim no início. A descoberta por ICMP e ARP encontra hosts que não respondem em nenhuma porta TCP e exige um pequeno privilégio no host do probe. O scan de faixas públicas permanece desativado, a menos que você precise dele deliberadamente. Uma mudança feita aqui chega ao probe em cerca de um minuto, sem reinício.

Passo 5, opcional: scans autenticados

Um scan não autenticado vê um host por fora. Um scan autenticado faz login e lê o que está de fato instalado, que é como o PCI espera que sistemas com credenciais sejam verificados. Em Credentials for authenticated scanning (credenciais para scans autenticados), adicione um login SSH para hosts Linux ou um login WinRM para hosts Windows e restrinja-o aos endereços a que ele se aplica. O secret é armazenado criptografado e só é entregue ao probe por TLS mútuo no momento do scan. No probe, ele fica em memória, aciona comandos de inventário somente leitura e nunca é gravado em disco. Esta é a visão mais profunda, e é onde o probe encontra as vulnerabilidades que a superfície de rede esconde.

Passo 6: leia os resultados

Tudo o que o probe descobre vai para os lugares que você já usa.

• Em Assets, cada dispositivo descoberto aparece com a origem Probe. Filtre por origem para separar o que o probe encontrou do que um agente gerencia e para identificar os dispositivos não gerenciados que merecem um agente ou um olhar mais atento.
• Abra um dispositivo para ver as suas exposições e, quando foi possível associar um serviço, as suas vulnerabilidades, junto com o mesmo Viking Exposure Score que o restante do parque carrega.
• Na página do próprio probe, Scan history and cadence (histórico e cadência de scans) é a sua trilha de auditoria: as execuções datadas, se você está dentro da janela de 90 dias e os achados que um scan posterior confirmou como remediados. Export CSV entrega o registro inteiro a um avaliador.

Quando você mudar algo em uma rede em escopo, abra o probe e escolha Scan now. O probe executa um scan fora do ciclo na sua próxima verificação, e a execução é registrada como on demand com o motivo que você informou, que é a evidência que o PCI pede após uma mudança significativa.

O que ver em seguida

• Configure o Infrastructure Defense é o guia do agente de host; ele combina a visão profunda por máquina com a visão de rede que você acabou de ativar.
• Infrastructure Defense em Capacidades explica como a pontuação é construída e o que o módulo avalia.
• Compliance e Configuration transformam os mesmos fatos nos resultados alinhados ao CIS e mapeados para o PCI que o seu auditor lê.

Uma rede que você não enxerga é uma rede que você não consegue defender. Com um probe em cada segmento, o Infrastructure Defense deixa de ser uma história sobre os servidores em que por acaso você instalou um agente e passa a ser o retrato honesto de tudo o que há na sua rede, pontuado e pronto para a auditoria.